网络安全公司 CrowdStrike 于 10 月 21 日公布了针对四类网络犯罪团伙的最新调查报告。报告显示，全球范围内的攻击者正全面采用智能体式人工智能实施攻击，并通过多种手段绕过主流大模型内置的安全护栏。

四团伙五至八月活动，模型基础设施暴露在外

CrowdStrike 威胁情报团队分析了今年 5 月至 8 月间四个此前未被披露团伙发动的攻击。这四个团伙分别使用中文、西班牙语与英语、印尼语、俄语开展活动。其中使用中文与西班牙语、英语的两个团伙展现出较为精密的 AI 任务驾驭框架——即支撑和引导模型完成任务的软件；另外两个团伙技术水平较低，但同样成功入侵了多个目标。

值得注意的是，所有团伙都将自己的 AI 基础设施直接暴露在公网服务器上，使研究人员得以分析其活动轨迹及所用模型。结果显示，它们主要依赖 Anthropic 的 Claude 系列以及开源权重的 DeepSeek 模型的旧版本，而非最前沿的模型。

CrowdStrike 反网络威胁业务高级副总裁亚当·迈尔斯（Adam Meyers）指出，在不同环节调用不同模型是普遍做法。”针对任务的不同方面可以调用不同模型。模型路由与选择非常关键，因为使用新模型成本高昂，很多时候属于杀鸡用牛刀。”他表示，即便在合法场景中，尽可能用旧模型完成工作也已成常态。

护栏各不相同，攻击者逐一利用

报告发现，四个团伙全都绕过了 AI 安全护栏，常见手法是让模型相信相关活动完全合法且已获授权，通常伪装成渗透测试或安全评估。许多团伙会往智能体的工作目录中添加文件，试图证明任务已获批准；此外还使用了传统越狱手段，通过精心设计的提示词与叙事将黑客行为描述为”已授权且无害”，并预先回应模型可能提出的疑问。技术水平较高的团伙在”世界观构建”上更有策略，水平较低的团伙则不时采用更粗暴、更具攻击性的提示词，试图胁迫模型接受活动合法。

使用中文的团伙还使用了一种被称为”运行时补丁”的工具 ClawGod，在 Claude Code 之上叠加功能，并试图移除系统提示词中的”CYBER_RISK_INSTRUCTION”指令——该指令要求 Claude Code 仅参与已授权的安防测试，不得用于滥用性或破坏性的黑客行为。

西班牙语团伙入侵阿根廷医疗系统

使用西班牙语与英语的团伙以阿根廷医疗机构为目标，成功入侵至少 15 家组织，研究人员发现其已从至少一家受害机构窃取凭据与医疗记录。该团伙搭建了渗透测试框架，并调用 Claude Opus 4.5、Claude Haiku 4.5 与 DeepSeek V4 Pro 等模型，构建起一套自主攻击基础设施：由负责调度的监督代理规划攻击步骤，再由负责执行的代理具体实施。

使用中文的团伙同样搭建了渗透测试框架，引导 Claude Code 完成侦察，并在人类选定行动方向后自主发动攻击。研究人员发现其成功入侵了巴西与哥伦比亚的政府目标，并针对巴西、美国多地的私营组织下手，涉及生物科技、医疗、食品饮料、零售、科技与旅游等行业。该团伙主要依赖 Claude Opus 4.8，同时使用了 Claude Sonnet 4.6 与 DeepSeek Chat，并通过一家总部位于中国的 AI 代理服务访问 Claude，同时设置了多个备用通道以防代理不可用。

低技术团伙同样得手

据研究人员介绍，使用俄语的团伙以牟利为目的的电子犯罪为主；使用印尼语的团伙是四个中最不成熟的，仅使用公开的工具与框架，却仍成功入侵了多个印尼政府域名、一个孟加拉国政府域名以及若干私营目标。

迈尔斯总结称，在这些攻击中，人类负责初期的试探与侦察，随后交由 AI 规模化实施黑客行为。”有趣的是，即便具备如此强大的智能体攻击能力，我们依然能看到背后有人类在主导，并清楚他们在做什么。”

截至报告发布，Anthropic 与 DeepSeek 均未就此事作出公开回应。